四步循环，持续进行
发现与扫描：枚举资产，对照已知漏洞库探测。排序：按严重性、可利用性与资产所承载的业务排序。报告：转化为责任到人的可执行修复计划。修复与验证：打补丁或缓解，再扫确认闭环。
多数评估漏掉的两件事
其一：不在台账里的东西无法被评估。扫描器依赖资产清单，当清单失真，最危险的设备恰恰是没被扫的那些。其二：固件层。BMC 固件、BIOS/UEFI 与控制器固件携带严重 CVE，而标准网络扫描器几乎看不见它们。核心优势：自动采集的完整资产台账、覆盖机队的固件版本、自动标记基线漂移、BMC/管理平面暴露可见。
常见问题
漏洞评估是对环境安全弱点的系统性检视。漏洞评估与渗透测试的区别：漏洞评估广泛地发现并罗列弱点；渗透测试在更少目标上走得更深。漏洞评估应多久做一次：能持续就持续，至少每季度一次并在重大变更后追加。